[发明专利]基于网络攻击伴随行为的DDoS攻击群体分析方法

权利要求书

1.一种基于网络攻击伴随行为的DDoS攻击群体分析方法，其特征在于：所述方法包括以下步骤：

获取预设时间内的DDoS攻击行为的所有控制端IP，以及每个控制端IP所对应的攻击目标轨迹和利用肉鸡轨迹；计算每个控制端IP与除该控制端IP外的其他每个控制端IP的攻击目标轨迹相似度；

计算每个控制端IP与除该控制端IP外的其他每个控制端IP的利用肉鸡轨迹相似度；

根据所有的任意两个控制端IP，以及对应的攻击目标轨迹相似度和利用肉鸡轨迹相似度构建关系图；

根据所构建的关系图划分DDoS攻击群体；

所述方法还包括：预先汇总DDoS攻击时间数据，记录控制端、肉鸡、攻击目标的攻击行为序列，从所述攻击行为序列中获取所述预设时间内的DDoS攻击行为的所有控制端IP，以及每个控制端IP所对应的攻击目标轨迹和利用肉鸡轨迹。

2.根据权利要求1所述的基于网络攻击伴随行为的DDoS攻击群体分析方法，其特征在于：

所述方法还包括：

设定攻击目标IP个数阈值和肉鸡IP个数阈值；

将每个控制端IP的攻击目标轨迹所包含的攻击目标IP个数与所述攻击目标IP个数阈值进行比较，若少于所述攻击目标IP个数阈值，则滤除该控制端IP；

将每个控制端IP的利用肉鸡轨迹所包含的肉鸡IP个数与所述肉鸡IP个数阈值进行比较，若少于肉鸡IP个数阈值，则滤除该控制端IP。

3.根据权利要求1所述的基于网络攻击伴随行为的DDoS攻击群体分析方法，其特征在于：

每条所述攻击目标轨迹对应一个目标轨迹集合，所述目标轨迹集合包括，控制端IP在所述预设时间内攻击的目标IP以及对应的时间点；一个控制端IP在一个对应时间点攻击的目标IP为一个或多个；

每条所述利用肉鸡轨迹对应一个肉鸡轨迹集合，所述肉鸡轨迹集合包括，控制端IP在所述预设时间内肉鸡IP以及对应的时间点；一个控制端IP在一个对应时间点肉鸡IP为一个或多个。

4.根据权利要求3所述的基于网络攻击伴随行为的DDoS攻击群体分析方法，其特征在于：

计算每个控制端IP与除该控制端IP外的其他每个控制端IP的攻击目标轨迹相似度，包括以下步骤：

统计两个控制端IP所对应的所有时间点，计算每个时间点对应的攻击目标相似度score1，设两个控制端IP在Tn时间点对应的攻击目标IP集合分别为An和Bn，n为1-N内的正整数；其中，N为大于等于1的正整数，表示所述两个控制端IP所对应的所有时间点的个数：

若此时间点只有一个控制端IP有攻击目标轨迹，则score1＝0；

若此时间点两个控制端IP均有攻击目标轨迹点，则如果An包括Bn，或Bn包含An,则score1＝1.0，否则，score1＝(An和Bn的交集)/(An和Bn的并集)；

所述两个控制端IP对应的攻击目标轨迹相似度设为score_X，score_X＝(每个时间点的攻击目标相似度score1累加总和)/时间点数N。

5.根据权利要求4所述的基于网络攻击伴随行为的DDoS攻击群体分析方法，其特征在于：

计算每个控制端IP与除该控制端IP外的其他每个控制端IP的利用肉鸡轨迹相似度，包括以下步骤：

统计两个控制端IP所对应的所有时间点，计算每个时间点对应的利用肉鸡相似度score2，设两个控制端IP在Tn时间点对应的利用肉鸡IP集合分别为Cn和Dn，n为1-N内的正整数；其中，N为大于等于1的正整数，表示所述两个控制端IP所对应的所有时间点的个数：

若此时间点只有一个控制端IP有利用肉鸡轨迹，则score2＝0；

若此时间点两个控制端IP均有利用肉鸡轨迹点，则如果Cn包括Dn，或Dn包含Cn,则score2＝1.0，否则，score2＝(Cn和Dn的交集)/(Cn和Dn的并集)；

所述两个控制端IP对应的利用肉鸡轨迹相似度设为score_Y，score_Y＝(每个时间点的肉鸡相似度score2累加总和)/时间点数N。